Jakie dane są zbierane na podstawie ustawy AML?

Ustawa AML z 1 marca 2018 roku nakłada na instytucje obowiązane konieczność stosowania środków bezpieczeństwa finansowego, które wymagają gromadzenia szczegółowych danych klientów. W praktyce są to takie dane jak:

• imię i nazwisko,
• PESEL,
• data i miejsce urodzenia,
• obywatelstwo,
• numer NIP,
• adres zamieszkania lub adres korespondencyjny,
• seria i numer dowodu osobistego,
• dane pełnomocników i beneficjentów rzeczywistych (w przypadku osób prawnych).

Ustawa dopuszcza również kopiowanie dokumentów tożsamości klientów w celu weryfikacji ich danych.

Jak pozyskać dane klientów?

Instytucje obowiązane uzyskują większość danych bezpośrednio od klientów. Zastosowanie ma więc w tym przypadku art. 13 RODO. Brak podania wymaganych informacji skutkuje tym, że niemożliwe będzie skorzystanie z usług. Klienci są więc zobowiązani do bezpośredniego udostępnienia pewnych danych, aby usługi w ogóle były dla nich dostępne.

Zdarzają się jednak sytuacje, gdy instytucje obowiązane otrzymują dane pośrednio. Dzieje się to chociażby przez pełnomocników lub reprezentantów. Mogą pozyskiwać je również z publicznych rejestrów np. z KRS. Wówczas mamy do czynienia z przetwarzaniem regulowanym, o którym mówi art. 14 RODO. Instytucja ma w tym przypadku obowiązek poinformowania danej osoby o przetwarzaniu jej danych.

Jaka jest podstawa prawna przetwarzania danych w ramach AML?

RODO przewiduje kilka podstaw przetwarzania danych.

Jeśli chodzi o procedury AML, najważniejsze są dwie:

1. 6 ust. 1 lit. c RODO – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, czyli realizacji ustawowych obowiązków AML (np. identyfikacja klienta, ocena ryzyka, raportowanie do GIIF).
2. 6 ust. 1 lit. f RODO – przetwarzanie jest niezbędne do wykonania umowy lub działań przed jej zawarciem (np. weryfikacja przed podpisaniem umowy z klientem).

W przypadku podmiotów, które nie są formalnie objęte ustawą AML, a chcą stosować jej procedury, konieczne będzie pozyskanie zgody od osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO).

Jak długo można przechowywać dane?

Okres przechowywania danych zebranych w ramach AML jest jasno określony jako 5 lat od zakończenia relacji gospodarczej lub przeprowadzenia transakcji okazjonalnej. Stanowi o tym art. 49 ustawy AML. W wyjątkowych przypadkach GIIF może zdecydować o wydłużeniu tego okresu.

Ważne! wszystkie dane powinny być przetwarzane w sposób adekwatny do celu, zgodnie z zasadą minimalizacji z RODO. Administratorzy nie mogą więc zbierać ani przechowywać danych, które wykraczają poza to, co rzeczywiście okazuje się niezbędne.

Czy AML i RODO wzajemnie się wykluczają?

Wręcz przeciwnie. Obie regulacje prawnie opierają się na podejściu opartym na ryzyku. Oznacza to, że instytucje obowiązane muszą samodzielnie zidentyfikować potencjalne zagrożenia i dostosować procedury do specyfiki swojej działalności.

Zarówno AML, jak i RODO, nie narzucają sztywnych schematów działania. Oferują dosyć elastyczne ramy, w których liczy się cel i skutek, czyli bezpieczeństwo danych i zapobieganie nadużyciom finansowym.

Jakie działania wymagają szczególnej uwagi na styku AML i RODO?

Największe ryzyka mogą wystawić w poszczególnych obszarach:

• Monitorowanie i analiza transakcji – chodzi o konieczność przetwarzania dużych wolumenów danych.
• Przekazywanie danych do GIIF – wrażliwe dane muszą być odpowiednio zabezpieczone.
• Identyfikacja PEP i RCA – przetwarzanie danych szczególnej kategorii.
• Anonimowe zgłoszenia naruszeń – przetwarzanie danych sygnalistów musi odbywać się zgodnie z przepisami

Jak pogodzić AML i RODO w praktyce?

Obowiązki wynikające z AML i RODO bywają złożone, ale nie są ze sobą sprzeczne. Aby je pogodzić, należy odpowiednio dobrać podstawę prawną przetwarzania danych. Warto zwrócić uwagę na zasadę minimalizacji i adekwatności. Instytucje obowiązane muszą określić i przestrzegać okresów retencji, a także na bieżąco analizować ryzyko i aktualizować procedury. Wreszcie koniecznie może okazać się wdrożenie narzędzi wspierających zgodność systemów czy list sankcyjnych.

Klauzula informacyjna RODO dla działań AML – wzór, przykład

Poniżej możesz zapoznać się z praktycznym przykładem klauzuli informacyjnej dla klienta sklepu będącego instytucją obowiązaną.

Zgodnie z art. 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), informujemy, że:

1. Administratorem Pani/Pana danych osobowych jest [nazwa firmy], z siedzibą przy [adres], e-mail: [adres e-mail], tel.: [numer telefonu].
2. Pani/Pana dane osobowe przetwarzane są w celu realizacji obowiązków prawnych wynikających z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tzw. ustawa AML), w szczególności:

• identyfikacji i weryfikacji tożsamości klienta,
• bieżącego monitorowania stosunków gospodarczych,
• stosowania środków bezpieczeństwa finansowego,
• przechowywania dokumentacji.

Podstawą prawną przetwarzania danych jest art. 6 ust. 1 lit. c RODO – obowiązek prawny ciążący na administratorze.

3. Pani/Pana dane mogą być przekazywane podmiotom wspierającym nas w realizacji obowiązków AML (np. dostawcom usług IT, kancelariom prawnym), a także organom państwowym uprawnionym do ich otrzymania na podstawie przepisów prawa, w szczególności Generalnemu Inspektorowi Informacji Finansowej oraz innym organom nadzorczym i organom ścigania.
4. Dane będą przechowywane przez okres 5 lat od zakończenia stosunków gospodarczych lub przeprowadzenia transakcji okazjonalnej, zgodnie z art. 49 ustawy AML. W określonych przypadkach okres ten może zostać przedłużony o kolejne 5 lat.
5. Przysługują Pani/Panu prawa:

• dostępu do danych,
• sprostowania danych,
• ograniczenia przetwarzania,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Z uwagi na przetwarzanie danych na podstawie obowiązku prawnego, nie przysługuje prawo do usunięcia danych ani prawo sprzeciwu wobec przetwarzania.

6. Podanie danych jest obowiązkowe. Ich niepodanie uniemożliwi zawarcie lub kontynuację relacji gospodarczej – zgodnie z ustawą

Artykuł Procedura AML a RODO – jak zapewnić zgodność z przepisami? pochodzi z serwisu PG Partner Gospodarczy.

Co to jest AML?

Przeciwdziałanie procederowi prania pieniędzy oraz finansowaniu terroryzmu, znane w praktyce gospodarczej i literaturze przedmiotu pod skrótem AML (ang. Anti-Money Laundering) oraz CFT (ang. Countering the Financing of Terrorism), stanowi jeden z kluczowych elementów systemu bezpieczeństwa finansowego. Zakres i zasady stosowania tych zasad zostały określone w ustawie z dnia 1 marca 2018 roku o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2020 r. poz. 971 z późn. zm.), a także w ustawie zmieniającej ustawę z 2021 roku (Dz.U. z 2021 r. poz. 815) oraz w wybranych przepisach innych aktów prawnych.

Wprowadzenie i stosowanie mechanizmów przeciwdziałających praniu pieniędzy oraz finansowaniu działalności terrorystycznej ma na celu przede wszystkim ochronę integralności systemu finansowego, a także wzmocnienie bezpieczeństwa zarówno ekonomicznego, jak i społecznego. Zjawisko prania pieniędzy, będące przestępstwem o charakterze kryminalnym, nierozerwalnie związane jest z działalnością przestępczą o wysokim stopniu szkodliwości społecznej, taką jak: kradzieże, zabójstwa, wymuszenia, korupcja, handel ludźmi czy obrót nielegalnymi towarami. Według szacunków nawet do 5% światowego produktu krajowego brutto może pochodzić z działalności przestępczej tego rodzaju.

Z tego względu skuteczne wdrażanie procedur AML ma nie tylko zapobiegać legalizacji środków pochodzących z nielegalnych źródeł, ale także pośrednio ograniczać samą działalność przestępczą poprzez blokowanie możliwości wykorzystania zysków z przestępstw. Jest to zatem narzędzie służące wzmocnieniu przejrzystości finansowej oraz eliminacji ryzyk destabilizujących system gospodarczy.

Procedura AML – co to jest?

Przede wszystkim należy jasno podkreślić, że celem posiadania procedury przeciwdziałania praniu pieniędzy (AML) nie jest jedynie jej formalne przyjęcie, ale przede wszystkim konsekwentne i rzetelne stosowanie jej zapisów w codziennej działalności przedsiębiorstwa. Wdrożenie systemu AML powinno mieć charakter całościowy i systemowy – obejmować wszystkie obszary działalności firmy, które mogą wiązać się z ryzykiem nadużyć finansowych. Proces ten musi być zgodny z wymogami określonymi w obowiązujących przepisach prawa, w szczególności w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, i nie dopuszcza się w tym zakresie żadnych uproszczeń czy odstępstw.

AML – jak wdrożyć procedurę w organizacji?

Szkolenie AML

Aby skutecznie wdrożyć procedurę, konieczne jest podjęcie dwóch kluczowych działań już na początkowym etapie. W pierwszej kolejności organ zarządzający powinien wyznaczyć osobę odpowiedzialną za implementację procedur związanych z przeciwdziałaniem praniu pieniędzy (AML) w strukturach organizacji. W przypadku prowadzenia jednoosobowej działalności gospodarczej kwestia ta rozwiązuje się automatycznie, ponieważ obowiązek ten spoczywa na właścicielu.

Kolejnym, równie istotnym krokiem jest odbycie szkolenia wstępnego, obejmującego zasady wdrażania oraz przestrzegania procedur AML. Etap ten ma fundamentalne znaczenie i nie może zostać pominięty w procesie wdrażania systemu zgodności.

Ocena ryzyka

Następnym krokiem jest przygotowanie przez organizację szczegółowej, indywidualnej oceny ryzyka – dokumentu, w którym zostaną precyzyjnie zidentyfikowane i opisane ogólne obszary ryzyka związane z prowadzoną działalnością.

Wewnętrzna procedura AML

Opracowanie wewnętrznej procedury przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu stanowi istotny etap w procesie implementacji wymogów wynikających z ustawy AML. Procedura ta, zgodna z art. 50 ust. 2 ustawy, powinna zawierać szczegółowy opis zasad szkolenia pracowników w zakresie AML, jak również wskazywać konkretne działania i środki mające na celu ograniczenie ryzyka związanego z praniem pieniędzy i finansowaniem terroryzmu. Obejmuje również kompleksowe podejście do zarządzania ryzykiem, w tym jego identyfikację i ocenę, a także określenie rodzaju i zasad stosowania środków bezpieczeństwa finansowego.

Niezbędne jest również ujęcie w procedurze zasad ochrony informacji, w tym danych osobowych oraz mechanizmów współpracy z Generalnym Inspektorem Informacji Finansowej (GIIF). Dokument powinien zawierać również wytyczne dotyczące dokumentowania problemów związanych z identyfikacją lub weryfikacją klientów i beneficjentów rzeczywistych, jak również zasady postępowania w przypadku stwierdzenia rozbieżności pomiędzy informacjami zawartymi w Centralnym Rejestrze Beneficjentów Rzeczywistych a ustalonym stanem faktycznym.

Procedura musi także opisywać tryb zgłaszania naruszeń bądź podejrzeń ich wystąpienia oraz wewnętrzne mechanizmy kontrolne zapewniające zgodność z przepisami prawa. W rezultacie stanowi ona fundament skutecznego wdrażania regulacji AML w strukturze organizacyjnej jednostki.

Sygnaliści

Zgodnie z przepisami AML każda instytucja zobowiązana jest do wyznaczenia osoby pełniącej funkcję sygnalisty – pracownika odpowiedzialnego za zgłaszanie wszelkich podejrzeń dotyczących nieprawidłowości lub naruszeń prawa. Należy podkreślić, że niezwykle istotnym elementem w tym zakresie jest opracowanie i wdrożenie odrębnej procedury mającej na celu zapewnienie pełnej ochrony tożsamości oraz anonimowości sygnalisty. Tylko to zagwarantuje bezpieczeństwo i skuteczność całego systemu zgłaszania nieprawidłowości.

Artykuł Jak wdrożyć procedurę AML w firmie krok po kroku? pochodzi z serwisu PG Partner Gospodarczy.